مخطط انسيابي لعملية تقييم المخاطر

ما هي مخطط انسيابي لعملية تقييم المخاطر؟

يخفق تقييم المخاطر في موضع يمكن التنبؤ به. ليس في التقييم الرقمي الذي يقلق منه الجميع، بل قبله: المعايير وحدود التقبّل لم يُتفق عليها، فيقيّم مقيّمان التعرّض نفسه بدرجتين مختلفتين، ويتحول السجل إلى مجموعة آراء بدل قائمة مرتبة. وتحديد المقاييس والعتبة أولاً هو ما يجعل كل ما بعدها قابلاً للمقارنة.

والإخفاق الثاني هو التعامل مع تحديد المخاطر كإجراء شكلي. مخاطرة مكتوبة بصيغة «إخفاق المورّد» لا يمكن تقييمها، لأنها لا تسمّي السبب ولا الأثر، والتقييم الذي يليها هو في حقيقته جدال حول معنى العبارة. السبب والحدث والأثر هو الحد الأدنى الذي يجعل صياغة المخاطرة قابلة للتقييم، ولهذا تفصل هذه العملية وصف المخاطرة عن تقييمها.

يمتد المخطط أدناه من مُحفِّز حتى قيد مُتابَع في السجل، عبر خمسة مسارات وخمس مراحل. ويُبقي البنيتين اللتين تتركهما معظم إجراءات المخاطر ضمنيةً: تقييم المخاطرة الكامنة منفصلاً عن المتبقية، حتى تكون مساهمة الضوابط القائمة ظاهرة لا مفترضة، ورسم القبول كقرار له مستوى اعتماد بدل أن يكون ما يحدث حين لا يفعل أحد شيئاً.

ما الذي يغطيه هذا المخطط

في هذا القالب

• خمسة مسارات (مالك العملية، مالك المخاطرة، مدير المخاطر، خبراء الاختصاص، لجنة المخاطر) عبر خمس مراحل: النطاق والسياق، تحديد المخاطر، التحليل والتقييم، المعالجة، والمتابعة والمراجعة
• تحديد النطاق والأهداف واعتماد المعايير وحدود تقبّل المخاطر قبل تقييم أي مخاطرة: ما هو داخل النطاق، ومقاييس الاحتمالية والأثر، والعتبة التي لا يمكن فوقها الاكتفاء بحمل المخاطرة
• تحديد المخاطر مع الفريق الذي ينفّذ العمل، ثم تسجيلها في سجل المخاطر، ثم قرار «هل هي مكرّرة لمخاطرة قائمة؟» الذي يدمج مع القيد القائم بدل الازدواج، ثم وصف السبب والحدث والأثر قبل بدء التقييم
• تقييم المخاطرة الكامنة، ثم تقييم صريح لتصميم الضوابط القائمة وفاعلية تشغيلها، ثم بوابة «هل المخاطرة المتبقية ضمن الحد المقبول؟»: فلا تُحتسب للضوابط إلا ما تفعله فعلاً
• قرار معالجة رباعي: تخفيض أو نقل أو تجنّب أو قبول، مع توجيه القبول إلى اعتماد بالصلاحية المناسبة بدل تركه نتيجة افتراضية
• حلقة الإغلاق: إعادة تقييم بعد المعالجة تعود إلى قرار المعالجة حين تبقى المخاطرة المتبقية مرتفعة، ثم تحديد مالك المخاطرة وتاريخ المراجعة قبل تحديث السجل ومتابعته

متى تستخدم هذا القالب

• تكتب أو تراجع إجراء إدارة المخاطر وتحتاج صورة واحدة لمن يحدد المخاطر ومن يقيّمها ومن يعالجها ومن يقبلها
• تتفاوت درجات المخاطر بحسب من أدار ورشة العمل، وتحتاج تطبيق المعايير وعتبة التقبّل بالطريقة نفسها في كل مرة
• سألك مدقّق أو جهة اعتماد كيف تُحدَّد المخاطر وتُقيَّم وتُعالَج، وتحتاج عملية موثّقة لا جدول درجات
• يحتوي سجل المخاطر لديك على قيود بلا مالك وبلا تاريخ مراجعة، وتحتاج أن تنتهي العملية إليهما معاً
• تُدخل التفكير القائم على المخاطر وفق ISO 9001 أو ISO 27001 أو ISO 31000 وتريد الاتفاق على دورة التقييم قبل تعبئة السجل

كيف تعمل

1. أعد تسمية المسارات لتطابق حوكمتك

   استبدل مالك العملية ومالك المخاطرة ومدير المخاطر وخبراء الاختصاص ولجنة المخاطر بالأدوار الموجودة لديك. في المؤسسات الأصغر يكون مدير المخاطر واللجنة الجهة نفسها، ودمجهما أصدق من ترك مسار لا يجتمع إلا مرة في السنة. وأبقِ مالك المخاطرة متمايزاً عن مدير المخاطر: أحدهما يحمل المخاطرة والآخر يدير العملية.

2. اكتب مقاييسك وحدود التقبّل على خطوة المعايير

   أدرج تعريفات الاحتمالية والأثر التي تستخدمها فعلاً، بما في ذلك معنى كل مستوى بالمال أو الوقت أو الضرر، وحدّد العتبة التي يجب فوقها معالجة المخاطرة لا قبولها. المعايير التي تعيش في سياسة منفصلة تُستحضر من الذاكرة تقريباً، وهذه هي الآلية التي تجعل مقيّمَين يصلان إلى درجتين مختلفتين من الحقائق نفسها.

3. حدّد أسلوب التحديد ومن يحضر

   قرّر كيف تُستخرج المخاطر: ورشة عمل، مقابلات، قائمة تحقق، سجل الحوادث والتدقيقات، ومن يجب أن يكون في القاعة. التحديد الذي ينفّذه شخص واحد من مكتبه يُغفل المخاطر التي لا يراها إلا من ينفّذ العمل، ولا يعوّض أي دقة في التقييم لاحقاً عن مخاطرة لم يكتبها أحد.

4. قيّم المخاطرة الكامنة قبل احتساب الضوابط

   أبقِ تقييم الكامنة والمتبقية خطوتين منفصلتين كما في المخطط. الاكتفاء بتقييم الوضع المتبقي يخفي مقدار اعتماد هامش الأمان لديك على ضابط واحد، ويجعل السجل عديم الفائدة لحظة تغيّر ذلك الضابط. وقيّم تصميم الضابط وفاعلية تشغيله كلاً على حدة: ضابط محكم التصميم لا ينفّذه أحد لا يساوي شيئاً.

5. سمِّ مستوى الاعتماد اللازم لقبول مخاطرة

   القبول معالجة مشروعة وأكثرها إساءة استخدام، لأنه أيضاً ما يحدث حين لا يتحرك أحد. اكتب من يملك قبول مخاطرة عند كل نطاق درجات، واشترط تسجيل القبول باسم محدد. هذه القاعدة وحدها هي ما يمنع امتلاء السجل بمخاطر قُبلت افتراضاً.

6. حدّد مُحفِّزات المراجعة وأبقِ المخطط مُصدَّراً

   اختر وتيرة مراجعة لكل نطاق درجات وأضف مُحفِّزات حدثية: حادثة، تغيّر مورّد، نظام جديد، ملاحظة تدقيق. ودوّن تاريخ المراجعة على قيد السجل لا في تقويم شخص ما. وأبقِ مخطط العملية نفسه تحت ضبط الإصدارات مع تسجيل اعتماده، حتى يعمل المقيّمون والمراجعون بالأسلوب المتفق عليه ذاته.

الأسئلة الشائعة

ما خطوات عملية تقييم المخاطر؟

حدّد النطاق والمعايير، ثم حدّد المخاطر، ثم صف كل مخاطرة بصيغة سبب وحدث وأثر، ثم حلّل الاحتمالية والأثر، ثم قيّم الوضع المتبقي مقابل حدود تقبّلك، ثم اختر المعالجة، ثم عيّن مالكاً وتاريخ مراجعة. ويجمع ISO 31000 الخطوات الثلاث الوسطى تحت تقييم المخاطر (التحديد والتحليل والتقدير) تليها المعالجة. والترتيب هو ما يجعل النتائج قابلة للمقارنة: المعايير قبل التقييم، والوصف قبل التحليل، والتقدير قبل أن يبدأ أحد باقتراح ضوابط.

ما الفرق بين المخاطرة الكامنة والمخاطرة المتبقية؟

المخاطرة الكامنة هي التعرّض قبل احتساب الضوابط القائمة، والمتبقية هي ما يبقى بعدها. وتقييم الاثنين هو ما يجعل الضوابط مرئية: مخاطرة بدرجة كامنة عالية ودرجة متبقية منخفضة يحمل عبأها شيء ما، وإن كان ذلك الشيء فحصاً يدوياً واحداً ينفّذه شخص واحد فأنت بحاجة إلى معرفته. أما السجلات التي تدوّن الدرجة المتبقية وحدها فتبدو مطمئنة ولا تخبرك أي الضوابط يحمل الحِمل.

ما خيارات معالجة المخاطر الأربعة؟

التخفيض (إضافة ضوابط أو تقويتها)، والنقل (التأمين أو الشروط التعاقدية أو الإسناد الخارجي)، والتجنّب (إيقاف النشاط أو تغييره)، والقبول (حمل المخاطرة عن علم). والقبول خيار حقيقي ويحتاج معتمِداً: الفرق بين قبول مخاطرة وتجاهلها هو شخص مُسمّى يملك صلاحية حملها وسجل يثبت أنه فعل. أما النقل فهو الخيار الأكثر مبالغة في تقديره: التأمين ينقل الأثر المالي، ونادراً ما ينقل الأثر التشغيلي أو السمعي.

كم مرة ينبغي مراجعة تقييم المخاطر؟

بوتيرة تحددها الدرجة، إضافةً إلى مُحفِّزات حدثية. المراجعة السنوية أساس شائع للمخاطر منخفضة الدرجة، والربع سنوية أو أكثر لما يقترب من عتبة التقبّل. والمُحفِّزات أهم من التقويم: مورّد جديد، أو تغيير في نظام، أو حادثة، أو تغيّر تنظيمي، أو ملاحظة تدقيق، كل منها ينبغي أن يقدّم مراجعة القيود المتأثرة. والسجل الذي يُراجَع بالجدول وحده يكون دقيقاً يوم كتابته ثم ينحرف بهدوء بقية العام.